Útok na čínske superpočítačové centrum: keď sa terčom stáva sám útočník

Čo je o incidente známe

Začiatkom februára 2026 sa na fóre BreachForums a následne na kanáli Telegram objavili príspevky aktéra s prezývkou FlamingChina, ktorý ponúkal na predaj rozsiahly dátový balík údajne pochádzajúci z Národného superpočítačového centra v Tchien-ťine (NSCC Tianjin). Centrum, založené v roku 2009, prevádzkuje superpočítač Tchien-che-1A vyvinutý Národnou univerzitou obrannej technológie a slúži viac ako šiestim tisícom klientov z oblasti obrany, vedy a priemyslu. Patrí medzi inštitúcie, ktoré americké Ministerstvo obchodu zaradilo na Entity List práve pre ich rolu pri modernizácii čínskej armády.

Mediálnu pozornosť získal prípad až 8. apríla 2026, keď spoločnosť CNN zverejnila vlastnú investigatívnu reportáž s vyjadreniami menovaných expertov. Aktér ponúka náhľadové vzorky za približne 3 000 dolárov v kryptomene Monero, kompletný dataset za stovky tisíc dolárov. Podľa vlastných tvrdení získal prístup cez kompromitovanú VPN doménu a dáta odčerpával postupne počas približne šiestich mesiacov prostredníctvom siete distribuovaných uzlov.

Čo experti potvrdili a čo zostáva otázne

Dakota Cary zo spoločnosti SentinelOne, ktorý sa dlhodobo špecializuje na čínsku kybernetickú aktivitu, posúdil zverejnené vzorky ako vierohodné. Pre CNN uviedol, že obsah samples zodpovedá tomu, čo by od superpočítačového centra obsluhujúceho obranný a vedecký sektor očakával. Zároveň však upozornil, že samotný spôsob exfiltrácie nebol technicky výnimočný, išlo skôr o zlyhanie architektúry siete, absenciu segmentácie a zdieľané prístupové údaje než o sofistikovaný útok.

Na druhej strane stoja zásadné pochybnosti. Aktér FlamingChina nemá žiadnu predchádzajúcu históriu, čo je v komunite kybernetickej bezpečnosti nezvyčajné. Tvrdený objem 10 petabajtov je z technického hľadiska na hrane uveriteľnosti, nakoľko samotné uloženie a prenos takého množstva dát predstavuje extrémnu logistickú výzvu. Niektorí analytici preto pripúšťajú, že reálny rozsah úniku je výrazne menší, hoci stále strategicky významný. Veľké renomované portály v oblasti kybernetickej bezpečnosti zatiaľ k incidentu nevydali samostatné technické analýzy a čínska strana incident oficiálne nepotvrdila ani nevyvrátila.

Pre potreby strategického posúdenia je preto namieste pristupovať k prípadu obozretne. Či už ide o únik 10 petabajtov alebo výrazne menší objem, podstata zostáva rovnaká: neznámy aktér mal podľa všetkého šesť mesiacov prístup do prostredia národného výpočtového centra bez toho, aby bol odhalený.

Geopolitická inverzia

Z pohľadu medzinárodnej bezpečnosti predstavuje incident pozoruhodný obrat naratívu. V uplynulých rokoch sa diskusia o čínskej kybernetickej aktivite sústreďovala najmä na ofenzívne operácie pripisované aktérom ako Volt Typhoon či Salt Typhoon, ktoré mali smerovať proti americkej kritickej infraštruktúre. Tentoraz sa v pozícii zasiahnutej strany ocitla samotná Čína  a to v jednej z najcitlivejších oblastí svojho technologického ekosystému.

Tento obrat má širší význam. Ukazuje, že žiadna krajina, bez ohľadu na rozsah investícií do vlastných výpočtových a obranných kapacít, nie je voči podobným incidentom imúnna. Suverénne výpočtové kapacity, ako sú napríklad superpočítače, výskumné HPC klastre, infraštruktúra pre tréning veľkých modelov umelej inteligencie, sa stávajú strategickým terčom porovnateľným s tradičnými prvkami kritickej infraštruktúry. Ich kompromitácia môže mať priamy dopad na obranné programy, vedecký výskum aj ekonomickú konkurencieschopnosť.

Európsky precedens, na ktorý sa zabúda

Hoci pôsobí incident v Tchien-ťine ako exotický prípad zo vzdialeného regiónu, európska kritická infraštruktúra má s útokmi na superpočítače vlastnú skúsenosť. V máji 2020 bolo kompromitovaných približne dvanásť vysokovýkonných výpočtových centier v Nemecku, Spojenom kráľovstve a Švajčiarsku, vrátane systémov ARCHER v Edinburghu, Hawk v Stuttgarte, JURECA a JUWELS v Jülichu, Leibnizovho superpočítačového centra v Garchingu a CSCS vo Švajčiarsku. Útočníci využili odcudzené prístupové údaje SSH, pričom prvé prieniky siahali až do januára 2020. teda mesiace pred ich odhalením.

Spojnica medzi oboma incidentmi je nápadná. V oboch prípadoch boli vstupným bodom nie sofistikované zero-day zraniteľnosti, ale základné nedostatky v správe identít, prístupových údajov a sieťovej segmentácie. A v oboch prípadoch trvalo mesiace, kým bola prítomnosť útočníka v systéme odhalená. Práve táto schopnosť útočníka zostať dlhodobo neviditeľný v prostredí citlivej infraštruktúry je z hľadiska ochrany kritickej infraštruktúry kľúčovým poučením.

Regulačná medzera v ochrane výpočtových kapacít

Európsky rámec ochrany kritickej infraštruktúry, smernica NIS 2 a smernica CER, ktorá bola na Slovensku transponovaná zákonom č. 367/2024 Z. z. o kritickej infraštruktúre, pokrýva sektory ako energetika, doprava, zdravotníctvo, digitálna infraštruktúra, finančné služby či verejná správa. Vysokovýkonné výpočtové systémy a výskumná infraštruktúra však v týchto rámcoch nemajú samostatnú kategóriu. Sčasti spadajú pod digitálnu infraštruktúru, sčasti pod výskum, no ich strategický význam pre obranu, vedu aj rozvoj umelej inteligencie zostáva regulačne podchytený len nepriamo.

Pritom práve rok 2026 je pre Slovensko zlomový. Orgány štátnej správy sú povinné identifikovať kritické subjekty podľa zákona č. 367/2024 Z. z. najneskôr do 17. júla 2026. Súbežne sa naplno uplatňuje Národná stratégia kybernetickej bezpečnosti na roky 2026 až 2030. Práve v tomto období je vhodné prehodnotiť, či súčasné kategórie kritickej infraštruktúry primerane reflektujú strategický význam suverénnych výpočtových kapacít  a či si tieto prvky nevyžadujú explicitnejšie zaradenie do regulačného rámca.

„Incident v Tchien-ťine je pre nás dôležitý nie preto, že sa odohral v Číne, ale preto, čo hovorí o povahe súčasných hrozieb. Ak môže neznámy aktér mesiace pôsobiť v prostredí národného výpočtového centra bez toho, aby bol odhalený, je to varovanie pre každého prevádzkovateľa citlivej infraštruktúry, bez ohľadu na geografiu. Suverénne výpočtové kapacity sa stávajú strategickým aktívom, ktorému musíme venovať rovnakú pozornosť ako energetickým sieťam či telekomunikačným uzlom,“ uvádza Tibor Straka, prezident Asociácie kritickej infraštruktúry Slovenskej republiky.

Poučenie pre slovenský kontext

Z analýzy doteraz dostupných informácií vyplýva niekoľko záverov, ktoré sú relevantné aj pre slovenské subjekty kritickej infraštruktúry.

Po prvé, základné bezpečnostné princípy, ako sieťová segmentácia, dôsledná správa prístupových údajov, monitoring nezvyčajnej dátovej aktivity, zostávajú prvou líniou obrany aj voči najvyspelejším protivníkom. Veľké incidenty zriedkavo začínajú zero-day zraniteľnosťami, oveľa častejšie využívajú zanedbanú hygienu identít a sietí.

Po druhé, schopnosť detekcie je rovnako dôležitá ako schopnosť prevencie. Šesťmesačná prítomnosť útočníka v citlivom prostredí poukazuje na to, že nestačí investovať len do perimetra; rovnako kľúčové je kontinuálne monitorovanie vnútornej prevádzky a schopnosť včas rozpoznať anomálie. Prechod od formálnej dokumentácie k preukázateľnej funkčnosti bezpečnostných opatrení, ktorý prináša transpozícia smernice NIS 2, je v tomto smere zásadným krokom.

Po tretie, výskumné a výpočtové inštitúcie, často vnímané ako akademické prostredie s otvorenou kultúrou, sa v dnešnom geopolitickom kontexte stávajú strategickým terčom. Slovenské univerzitné výpočtové centrá, výskumné inštitúcie a HPC kapacity Slovenskej akadémie vied by mali byť súčasťou diskusie o tom, ako pristupovať k ochrane suverénnych výpočtových kapacít v rámci nových povinností vyplývajúcich zo zákona č. 367/2024 Z. z.

Asociácia kritickej infraštruktúry Slovenskej republiky (AKI SR) vytvára priestor pre odbornú diskusiu o týchto témach, prepája subjekty z verejného a súkromného sektora a poskytuje svojim členom prístup k expertným znalostiam pri implementácii nových regulačných požiadaviek. Práve v období, keď sa kybernetická bezpečnosť kritickej infraštruktúry presúva od formálnej prípravy k preukázateľnej praxi, je takáto výmena skúseností a koordinácia naprieč sektormi nenahraditeľná.

Incident v Tchien-ťine ešte čaká na úplné overenie. Bez ohľadu na jeho výsledné kontúry však už dnes plní jednu dôležitú funkciu: pripomína, že strategické prvky modernej spoločnosti sa nachádzajú aj tam, kde ich tradičné rámce ochrany kritickej infraštruktúry zatiaľ explicitne neidentifikujú.